ASA hairpin: ինտերնետ ելք, թե կայք-կայք VPN ոտք?

Նույն ASA-ի հետևում գտնվող երկու հեռահար մուտքի օգտատերեր կարող են տրաֆիկ ուղարկել նույն արտաքին ինտերֆեյսից և ստանալ բոլորովին տարբեր վերաբերմունք։ Մեկը գնում է հանրային վեբկայք, ուստի փաթեթին անհրաժեշտ է աղբյուրի թարգմանություն և ինտերնետ երթուղի։ Մյուսը գնում է կայք-կայք թունելի հետևում գտնվող սերվեր, որը նույնպես ավարտվում է այդ ինտերֆեյսում, ուստի փաթեթին անհրաժեշտ է ինքնություն, համապատասխան թունելի ընտրիչ և վերադարձի ուղի դեպի հաճախորդների լողավազան։ Նույն ինտերֆեյսի թույլտվությունը նախապայման է երկուսի համար և լուծում՝ ոչ մեկի։

Երկու ոտք, մեկ ինտերֆեյս

Որոշեք, թե որ ոտքն եք կառուցում, նախքան NAT կանոն գրելը, որովհետև կանոնները փոխարինելի չեն։ A ոտքը հաճախորդից ինտերնետ է՝ լողավազանի հասցեն ներս, թարգմանված հանրային հասցեն դուրս, վերադարձ նույն ինտերֆեյսով։ B ոտքը հաճախորդից դեպի մեկ այլ IPsec գործընկերոջ հակառակ կողմի մասնավոր նախադրյալն է՝ լողավազանի հասցեն պահպանվում է, նորից գաղտնագրվում և հանձնվում է գործընկերոջը, որը պետք է իմանա, թե ինչպես պատասխանել լողավազանին։

Այն, ինչ երկուսին էլ նախ պետք է, նույն ինտերֆեյսի թույլտվությունն է։ Առանց դրա ASA-ն հրաժարվում է փաթեթը փոխանցել այն ինտերֆեյսից, որով այն ժամանել է, և ձախողումը թվում է երթուղավորման խնդիր, ոչ թե քաղաքականության։

same-security-traffic permit intra-interface

Այդ մեկ տողը թույլատրում է փոխանցման կարգավորում, ինչպես նկարագրում է ASA NAT տեղեկատուն նույն ինտերֆեյսի ուղիների համար։ Այն չի ավելացնում հաճախորդի երթուղի, չի լիազորում ռեսուրս, չի թարգմանում հասցե և չի բանակցում IPsec ընտրիչի շուրջ, ուստի սպասեք դրանից հետո ավելացնել ևս երեք կամ չորս բան և մի կարդացեք դրա ընդունումը որպես առաջընթաց։

A ոտք. հաճախորդը ցանկանում է ինտերնետ

Ինտերնետ ելքի համար լողավազանի հասցեն պետք է դադարի մասնավոր լինելուց մինչև փաթեթը կլքի սարքը։ Սովորական PAT ձևավորման մեջ կանոնը լողավազանը թարգմանում է արտաքին ինտերֆեյսի հասցեի, և վերադարձի վիճակը վերականգնում է հաճախորդին ուղղված հոսքը։

object network VPN_POOL
 subnet 10.80.0.0 255.255.255.0
nat (outside,outside) after-auto source dynamic VPN_POOL interface route-lookup

Ապա հաստատեք, որ հաճախորդն իսկապես խնդրել է ASA-ին կրել այդ տրաֆիկը։ Բաժանված թունելի բացառումը հանրային նպատակակետն ուղարկում է հեռախոսի սեփական կապով, որը երբեք չի հասնում ASA-ին, և ոչ մի NAT կանոն չի վերանորոգում երբեք չուղարկված փաթեթը։ Համեմատեք խմբային քաղաքականության բաժանված թունելի ցանկը ձեր փորձարկվող նպատակակետի հետ։

Ոտքի մնացած մասը սովորական է՝ օգտագործելի լռելյայն կամ կոնկրետ երթուղի արտաքին ինտերֆեյսից, հոսքը թույլատրող մուտքի քաղաքականություն և ձեր ընտրած լուծիչի քաղաքականության համաձայն մշակվող DNS։ Ավելացրեք route-lookup այստեղ նույն պատճառով, ինչ ներքևում, քանի որ մուտքի և ելքի ինտերֆեյսները նույնական են։

B ոտք. հաճախորդը ցանկանում է մասնավոր կայք

Այս ոտքը ձախողվում է ավելի շատ տեղերում, ուստի գրեք այն հերթականությամբ։ Նախ հաճախորդի երթուղին՝ նպատակակետ նախադրյալը պետք է լինի բաժանված թունելի ցանկում, այլապես հաճախորդը այն չի դնի թունելի մեջ։ Երկրորդ՝ թունելի ընտրիչը. կայք-կայք գաղտնագրման ACL-ը պետք է ծածկի լողավազանի հասցեից մինչև հեռավոր նախադրյալը, ոչ միայն տեղական LAN-ից մինչև հեռավոր նախադրյալը։ Երրորդ՝ ինքնությունը, որպեսզի լողավազանի հասցեն ճանապարհին չթարգմանվի ինտերնետ PAT-ի։

nat (outside,outside) source static VPN_POOL VPN_POOL
    destination static SITE_PREFIX SITE_PREFIX route-lookup

Հեռավոր կողմն այն մասն է, որը մարդիկ մոռանում են փորձարկել։ Գործընկերոջն անհրաժեշտ է վերադարձի երթուղի դեպի լողավազան և ընտրիչ, որը ներառում է այն, և նրա սեփական քաղաքականությունը պետք է թույլատրի աղբյուրի հասցեները, որոնք նա կտեսնի։ Եթե կայքը փոխարենը օգտագործվում է թարգմանված տեսքով, դա վավեր ձևավորում է, բայց այդ դեպքում երկու գործընկերները, երկու ընտրիչները և երկու երթուղային աղյուսակները պետք է համաձայնեն թարգմանված հասցեների շուրջ։

Ստուգեք նաև կանոնների հերթականությունը։ Ինքնության կանոնից վերև լայն PAT կանոնը կթարգմանի մասնավոր փոխանակումը նախքան ինքնության կանոնը կգնահատվի, և ախտանիշը կլինի կայքի թունել առանց համապատասխան SA-ի, այլ ոչ NAT սխալ։

Թեստը, որը ձեզ ասում է, թե որ ոտքն եք կառուցել

Օգտագործեք հենց ASA-ի ուղու գնահատումը՝ կոնֆիգուրացիան կարդալու և հույս դնելու փոխարեն։ packet-tracer input outside tcp 10.80.0.25 40000 203.0.113.10 443 detailed ցույց է տալիս NAT որոշումը, երթուղին և ACL արդյունքը մեկ հոսքի համար. կրկնեք մասնավոր նպատակակետով։ Եթե NAT փուլը վերագրում է մասնավորից մասնավոր հոսք, դուք կառուցել եք A ոտքը մի փաթեթի համար, որին պետք էր B ոտքը։

Եվս երկու հրաման փակում են բացը։ show nat detail տպում է կանոնների հերթականությունը, որին հետևել է packet-tracer-ը, և show crypto ipsec sa ցույց է տալիս՝ արդյոք գոյություն ունի ընտրիչ սպասվող զույգի համար։ Բացակայող SA-ն ընտրիչի կամ գործընկերոջ կոնֆիգուրացիայի հարց է, ոչ թե մի բան, որը NAT կանոնը կարող է վերանորոգել։

Ստուգեք յուրաքանչյուր ոտք այն տրաֆիկով, որին այն սպասարկում է

Ընդունեք A ոտքը հաճախորդի սովորական հանրային հարցումով, իսկ B ոտքը՝ իսկապես գոյություն ունեցող մասնավոր ռեսուրսի հարցումով։ Ապա կրկնեք յուրաքանչյուրը մերժված ռեսուրսով, քանի որ «թույլատրված» և «մուտքի քաղաքականությամբ հաստատված» նույն ապացույցը չեն, և կենտրոնից սկսվող ping-ը չի վարժեցնում հաճախորդի ուղիներից ոչ մեկը։

Տոմսում երկու փորձարկման գրառումները պահեք առանձին՝ աղբյուրի հասցե, նպատակակետ, համընկած NAT կանոն և արդյունք։ Երբ հաջորդ զեկույցն ասի «VPN-ը կոտրված է», այդ զույգը մեկ րոպեի ընթացքում ձեզ կասի, թե որ ոտքն է հետընթացել, և պատասխանը սովորաբար երթուղի է կամ ընտրիչ, այլ ոչ թե նույն ինտերֆեյսի տողը, որին բոլորը նախ առաջինը կասկածում են։